GEANT-tietosuojakäytäntö Data Protection Code of Conduct

Transkriptio

1 GEANT-tietosuojakäytäntö Data Protection Code of Conduct Haka ja Virtu seminaari Mikael Linden, CSC Tieteen tietotekniikan keskus

2 Tutkijat tarvitsevat ylikansallista kirjautumista Tutkijat jakavat resursseja (työkalut, data, laskentapalvelut) ylikansallisesti Federoitu kirjautuminen helpottaisi tutkijan työtä Lisäisi yliopistojen tieteellistä tuottavuutta? Eräitä keskeisiä eurooppalaisia tutkimusinfrastruktuureja ja mukana olevia suomalaisia yliopistoja ja tutkimuslaitoksia: CLARIN ESFRI (kieliteknologia) Aalto-yliopisto Helsingin yliopisto Tampereen yliopisto Tampereen teknillinen yliopisto Turun yliopisto ELIXIR ESFRI (biolääketiede) Helsingin yliopisto Terveyden ja hyvinvoinnin laitos Tampereen yliopisto Oulun yliopisto Turun yliopisto

3 Akateemiset identiteettifederaatiot Euroopassa ja maailmalla kullakin federaatiolla omat tietosuojakäytännöt edugain-interfederaatio kytkee federaatiot yhteen => Ylikansallinen kirjautuminen Tarve yhtenäistää tietosuojakäytäntöjä (EU:ssa) 1500 Kotiorganisaatiota 2100 palvelua >17 miljoonaa käyttäjää

4 GÉANT-tietosuojakäytäntö HO HO HO Havaitsee SP:n sitoutuneen Havaitsee SP:n sitoutuneen Havaitsee SP:n sitoutuneen GEANT Data protection Code of Conduct Sitoutuu Sitoutuu Sitoutuu SP SP SP Asiakirja johon palvelu (SP) sitoutuu Perustuu tietosuojadirektiiviin Toivotaan vakuuttavan kotiorganisaatiot (HO, home organisation), jotta nämä uskaltavat konfiguroida IdP-palvelimensa luovuttamaan henkilötietoja

5

6 Vaatimuksia tietosuojakäytännölle Tietosuojadirektiivistä Suojausvelvoite Käyttötarkoitussidonnaisuus Tarpeellisuusvaatimus Informointivelvoite Perusteena rekisterinpitäjän asiaankuuluva intressi Luovutus EU/ETA-alueen ulkopuolelle vaatii lisätoimia Akateemisesta yhteisöstä Skaalautuvuus Riskien ja hyötyjen tasapainotus Ongelmansieto ja toipuminen IdP-pään riskien minimointi IdP-päälle vain hyviä käytäntöjä Federaation roolin minimointi Globaali ratkaisu

7 Teknisesti: SAML 2.0 metadata -profiili Tietosuojakäytäntöön sitoutuneen SP:n SAMLmetadatatietueeseen sisällytetään Entity Category elementti: Data protection Code of Conduct Lista SP:lle välttämättömistä attribuuteista (md:requestedattributes) Linkki SP:n tietosuojaselosteeseen (mdui:privacystatementurl) SP:n nimi (mdui:displayname) SP:n kuvaus (mdui:description)

8 Hakan ja GÉANTtietosuojakäytännön eroja GÉANT-tietosuojakäytännön asiat on suurelta osin sisäänleivottu Hakaluottamusverkoston palvelusopimukseen. Keskeisiä eroja GÉANT-käytäntö tiukempi attribuuttien tarpeellisuudesta GÉANT: necessary for enabling access Haka: palvelun kannalta tarpeelliset tiedot GÉANT-käytäntö yksityiskohtaisempi kuin Haka-palvelusopimus Esim. luovutus eteenpäin ja poikkeava käyttötarkoitus Haka-palvelusopimus puhuu suostumuksesta perusteena henkilötietojen luovutukselle Tietosuojaviranomaisten nykytulkinta kyseenalaistaa suostumuksen GÉANT-käytäntö antaa IdP-päälle korkeintaan suosituksia

9 edugain ja tietosuojakäytäntö: Tilanne Suomessa Kotiorganisaatiot CSC:n henkilökunnan IdP nojaa tietosuojakäytäntöön Turun yliopiston IdP Palvelut (kaikki sitoutuneet tietosuojakäytäntöön) LAT Language Archive Tools Concordance search service for text corpora Funet FileSender Haka Attribute Test Service

10 Käytännössä: Toimintaohjeet Haka SP:n ylläpitäjälle

11 Keittokirja: Resepti SP-ylläpitäjälle 1. Lue ja ymmärrä GÉANT-tietosuojakäytäntö 2. Varmista että SP:si on EU/ETA-maassa tai niihin rinnastuvassa 3. Selvitä onko organisaatiosi valmis sitoutumaan tietosuojakäytäntöön 4. Laadi lista palvelun tarvitsemista attribuuteista 5. Keksi palvelulle nimi ja kuvaus 6. Laadi tietosuojaseloste 7. Rekisteröi palvelu edugain:iin ja laita tarvittavat SAML2- metatietoelementit paikalleen Hakassa tämä tapahtuu Haka-resurssirekisterin avulla

12 Näytönkaappauksia Hakaresurssirekisteristä

13 Näytönkaappauksia Hakaresurssirekisteristä

14 Näytönkaappauksia Hakaresurssirekisteristä

15 Käytännössä: Toimintaohjeet Haka IdP:n ylläpitäjälle

16 Keittokirja: Resepti IdP-ylläpitäjälle 1. Lue ja ymmärrä GÉANT-tietosuojakäytäntö 2. Laadi luovutettaville attribuuteille perälauta Maksimaalinen lista attribuuteista, jotka IdP luovuttaa tietosuojakäytännön perusteella 3. Selvitä onko organisaatiosi valmis luovuttamaan attribuutteja tietosuojakäytäntöön sitoutuneelle SP:lle 4. Asenna uapprove informoidaksesi loppukäyttäjää 5. Rekisteröi IdP edugain:iin ja konfiguroi se nojaamaan tietosuojakäytäntöön Hakassa Haka-resurssirekisteri auttaa

17 Näytönkaappauksia Hakaresurssirekisteristä

18 Näytönkaappauksia Hakaresurssirekisteristä

19 Lisätietoja Tietosuojakäytäntö Kokotekstiartikkeli: Keittokirja ook Haka-ohjeet